疑似来自开源大赛的病毒报告：Synaptics

禁回忆 · 发表于 2020-11-7 15:56:11

病毒本体哈勃分析报告：https://habo.qq.com/file/showdetail?pk=ADcGY11tB2YIMFs0U2Y%3D
被感染文件哈勃分析报告：https://habo.qq.com/file/showdetail?pk=ADcGY11tB2YIMFs1U2U%3D
病毒行为：

读取你软件的icon，然后生成一个同名的exe，将原文件写到生成的exe中，运行时写出到运行目录，文件名为“._cache_”+软件名，设置隐藏
写出病毒本体到C:\ProgramData\Synaptics，病毒本体名为Synaptics.exe
查找易语言编译的exe文件，并执行“感染操作”

比较明显的特征为：

生成的同名文件详细信息，emm，附张图吧
启动时，如果电脑设置有用户账户控制，则会提示
生成的文件比源文件大700kb左右，具体没算。

此病毒是我一个朋友跟我说中病毒，然后我跟他要过来的“被感染文件”样本。

病毒来源应该是开源大赛中有人上传的文件所包含的，因为他最近除了下载开源大赛的东西，其他的没下载什么。
之所以把被感染文件用引号括起来，是因为写出的以“._cache_”开头的文件就是你的源文件，只是套了个壳子。
我在虚拟机里跑了一下，发现除了易语言编译出来的文件被“感染”以外，其他的exe文件均无被修改的迹象。
据朋友所说，CE也被感染了。
希望管理员对开源大赛上传的文件进行审核。